Politique de confidentialité

1. Qui traite vos données ?

Business Performance Systems (BPS Ltd), numéro 515 034 791, 2/22 Uzi Hitmann, 7777304 Ashdod, (IL), est responsable des traitements liés à son site, ses prospects, ses comptes clients et sa facturation. Contact : contact@secureoptin.com. DPO : Daniel Piestrak — ceo@secureoptin.com.

Si vous donnez votre consentement à une entreprise utilisant SecureOptIn, cette entreprise est responsable de son traitement ; BPS intervient pour son compte comme sous-traitant. Consultez également l’information fournie par cette entreprise. Agence MD n’accède pas aux données des clients et consentants hébergées dans SecureOptIn.

2. Quelles données et quelles sources ?

Vous fournissez directement vos coordonnées, votre entreprise le cas échéant, vos messages, choix de contact et informations de compte. Les données nécessaires à la souscription, à la facturation et à l’acceptation des documents contractuels sont également traitées. Les champs indispensables doivent être identifiés dans chaque formulaire : sans ces informations, nous pouvons ne pas pouvoir répondre ou fournir le service. Les choix marketing sont facultatifs.

Les systèmes peuvent produire des journaux de connexion, événements de confirmation et de livraison, dates et preuves techniques. Les données de consentants peuvent être saisies ou importées par l’entreprise cliente : elle doit vous informer de leur provenance. Les ouvertures, clics et données de navigation ne doivent être suivis que selon une configuration documentée et une base légale appropriée ; cette politique ne les autorise pas à elle seule.

3. Pour quelles finalités et sur quelles bases ?

Demandes de contact, démonstration et assistance : répondre à votre demande sur le fondement de notre intérêt légitime à traiter les demandes reçues ; les mesures précontractuelles demandées par la personne concernée relèvent, lorsqu’applicable, de l’article 6(1)(b) du RGPD.

Comptes, souscriptions et service : exécution du contrat lorsque la personne concernée en est partie ; pour les représentants et utilisateurs d’une entreprise cliente, intérêt légitime à gérer la relation professionnelle. Facturation et justificatifs : exécution du contrat et obligations légales applicables. Sécurité et défense des droits : intérêt légitime à protéger les services et traiter les litiges, dans les limites nécessaires.

Relances sur la démo, demandes d’avis et offres marketing : consentement pour les finalités et canaux choisis dans nos formulaires. Le refus ou le retrait n’empêche pas de traiter une demande de service distincte. Les traceurs non nécessaires requièrent un choix préalable lorsque la réglementation l’exige. Les traitements pour les clients suivent leurs instructions et le DPA ; l’entreprise cliente doit préciser leur base légale.

4. Combien de temps ?

Prospects SecureOptIn : trois ans à compter de la demande ou du dernier contact actif venant du prospect, avec arrêt des sollicitations concernées dès retrait ou opposition. Un envoi de notre part ou une simple ouverture d’e-mail ne relance pas ce délai. Sans nouvelle manifestation active à l’échéance, les données sortent de la base de prospection ; une éventuelle archive exige une finalité et un fondement distincts.

Comptes : pendant leur utilisation et les prestations restantes ; la résiliation de l’abonnement ne ferme pas automatiquement le compte. Les seules données nécessaires à la consultation et à l’archivage restent utilisées pour ces finalités. La conservation d’un compte inactif ne doit pas devenir illimitée par défaut. Les pièces comptables suivent les obligations effectivement applicables à BPS, à préciser dans le calendrier de conservation.

Preuves de consentement confiées par les clients : trois ans depuis chaque recueil, y compris après résiliation, conformément aux instructions et fondements applicables. Cela ne prolonge pas l’autorisation marketing. Une conservation liée à un litige doit être limitée et documentée. Les données minimales nécessaires au respect d’une opposition sont conservées séparément, sans réutilisation marketing ; leur durée, comme celles des codes, journaux et sauvegardes, reste à fixer dans le calendrier opérationnel.

5. Destinataires, hébergement et transferts

Les données sont accessibles aux personnes habilitées de BPS selon leurs missions et aux prestataires nécessaires : Scaleway pour l’hébergement et l’archivage, Sarbacane SendKit pour les e-mails, iSendPro pour les SMS, Stripe pour les paiements ; les flux d’horodatage e-PowerDoc/OpenTimestamps et de mesure d’audience Google Analytics doivent être précisés selon les fonctions actives. Les autorités peuvent recevoir les seules données légalement requises.

Les serveurs de stockage, de sauvegarde et de gestion des clés de SecureOptIn sont hébergés chez Scaleway en France. Cela ne garantit pas que tous les accès et traitements des autres prestataires restent en France. BPS est établie en Israël (IL), pays reconnu adéquat par la Commission européenne dans le champ de sa décision ; les flux concernés doivent être identifiés. Les autres transferts nécessitent un mécanisme applicable du chapitre V du RGPD. Vous pouvez demander les informations disponibles et une copie des garanties pertinentes à ceo@secureoptin.com. Les destinataires, lieux et mécanismes encore non confirmés doivent être complétés avant publication définitive.

6. Sécurité

L’infrastructure de stockage et de sauvegarde de SecureOptIn est hébergée chez Scaleway en France. Les données personnelles sont chiffrées avant leur stockage en base SQL ; les clés sont conservées séparément sur un serveur indépendant chez Scaleway. Les sauvegardes sont réalisées sur un serveur distinct et sécurisé, et les preuves sont archivées chiffrées en stockage à froid. Les accès sont limités aux personnes habilitées.

BPS déclare utiliser pour les sauvegardes un périmètre d’hébergement certifié ISO 27001 et HDS. Ces certifications concernent les prestations et infrastructures couvertes par les certificats du prestataire ; elles ne constituent pas une certification générale de l’application SecureOptIn.

Le chiffrement au stockage n’exclut pas un déchiffrement nécessaire en mémoire pour consulter ou acheminer les données. Il ne constitue pas une garantie absolue de sécurité. Les empreintes cryptographiques servent à l’intégrité ; elles ne doivent pas être assimilées automatiquement à des données anonymes.

7. Vos droits et vos choix

Selon les conditions du RGPD, vous pouvez demander accès, rectification, effacement, limitation et portabilité de vos données, et vous opposer aux traitements fondés sur l’intérêt légitime. L’opposition à la prospection commerciale doit être respectée. Vous pouvez retirer votre consentement à tout moment, sans remettre en cause la licéité du traitement effectué auparavant.

Écrivez à ceo@secureoptin.com ou à l’adresse postale de BPS. Précisez votre demande et le compte ou l’entreprise concernée ; un justificatif proportionné peut être demandé en cas de doute raisonnable sur l’identité, sans copie d’identité systématique. Une réponse est apportée en principe sous un mois, avec prolongation possible de deux mois dans les cas prévus par le RGPD et information dans le premier mois.

Pour un consentement donné à une entreprise cliente, utilisez le lien de modification reçu, le dispositif de cette entreprise ou contactez-la directement. BPS l’assiste et lui transmet les demandes relevant de sa responsabilité. Vous pouvez déposer une réclamation auprès de la CNIL (https://www.cnil.fr) ou de l’autorité de contrôle compétente.

8. Cookies, automatisation et mises à jour

L’acceptation des CGU ou de cette politique ne vaut ni consentement marketing ni acceptation des cookies. La politique de cookies et de suivi détaille les traceurs, leurs finalités, durées et les moyens d’exercer vos choix. Le suivi des e-mails est assuré par SendKit selon les fonctionnalités activées ; le recours à ce prestataire ne dispense pas de vous informer ni, lorsque nécessaire, de recueillir votre consentement. Le stockage local limitant la fréquence des pop-ups doit aussi être évalué ; il n’est pas déclaré exempté par défaut.

Les éventuels profilages et décisions exclusivement automatisées produisant des effets juridiques ou similaires doivent faire l’objet d’une information spécifique ; leur absence n’a pas été auditée dans cette version. Toute évolution importante des traitements donnera lieu à une information adaptée. Les éléments en cours de vérification ne peuvent pas être remplacés par une simple mention « sur demande » lorsque leur communication est légalement requise.